告警参考

告警级别与链路

Qidun 的每条告警都由模块调用统一上报接口产生，包含三个字段：类别（category）、级别（level）、摘要（summary）。

级别	含义	典型来源
info	状态通知：恢复、备份成功、心跳	portguard / pagekeep 恢复、MySQL 备份成功、heartbeat
warning	需要关注：超阈值、爆破封禁、发现后门	sysmetrics / login_attack / fim / webshell / mysql / keyops
critical	严重事件：疑似篡改、蜜罐命中、实例宕机、审计被清除	selfcheck / guard_honeypot / weblogin / mysql / backup / keyops

链路：模块 Report() → 写 SQLite report_log（status=pending）→ 看门狗每 3 秒批量 POST 到 Webhook（每轮最多 10 条）→ 失败标记 fail、30 秒后重试、最多重试 4 次。上报动作本身写审计日志。WebUI「看门狗 → 上报记录」可查每条结果（已发送 / 失败 / 待发送）。

告警类别总表

category	来源模块	级别	触发条件
sysmetrics	系统指标	warning	CPU / 内存 / 带宽（上下行）/ 逐盘使用率 / 服务自身内存超过阈值；磁盘 IO 四层异常（延迟 / 随机 IO 瓶颈 / 带宽打满 / 介质退化）
login_attack	登录监控	warning	系统登录窗口内失败达阈值 → 自动封禁（封禁 / 到期解封均上报）
weblogin	Web 登录防护	warning / critical	面板登录软锁（warning）；达封禁阈值有限期封禁（critical，默认 3 天）；解封上报
fim	文件指纹	warning	受监测文件被修改（changed）或消失（deleted）
webshell	后门防护	warning	站点目录扫描命中一句话后门特征（含隔离 / 未隔离状态）
mysql	MySQL 监控	warning / critical	运行线程 / 连接占比 / 慢查询速率超阈值、缓冲池命中率低、死锁、复制延迟（warning）；连接池耗尽、实例宕机（critical）；恢复 warning
（备份）	MySQL 备份	info / critical	备份成功 info；失败或 60 秒无产出判卡死 critical
portguard	端口守护	warning / info	连续失败达阈值 → down（warning，仅状态跳变时）；恢复 info
pagekeep	页面保活	warning / info	页面连续失败（网络错误或状态码≠期望）达阈值 → down（warning）；恢复 info
selfcheck	系统自检	critical	自身二进制被修改 / 删除，或基线 HMAC 签名校验失败（「服务端疑似被篡改」）
keyops	关键操作审计	warning / critical	高危系统操作：删用户 / 重置密码 / 改密 / 清空审计日志 / 安装服务（critical）；其余（重启、建用户、sudo…）warning
guard_honeypot	守卫蜜罐	critical	非本机来源连接 530 守卫端口 → 有限期封禁（默认 3 天）
push	外部报警接收	继承原级别	外部系统经 /api/push/events 推入的报警（转发时可用）
heartbeat	看门狗心跳	info	按心跳间隔发送存活快照（CPU / 内存 / 磁盘 / 运行时长），不写入上报记录

去重与抑制策略

为避免告警风暴，各模块内置独立的去重 / 抑制窗口：

模块	策略
系统指标	每类指标 5 分钟去重
MySQL	同指标 10 分钟去重；连续 3 次采集失败才判宕机
关键操作	同类别 5 分钟去重
文件指纹	changed 告警后自动更新基线不再重复；deleted 6 小时去重
后门防护	同一 path + 特征未处置不重复告警
端口守护 / 页面保活	仅状态跳变时上报，down 期间不刷屏；恢复上报一次
系统自检	首次立即告警，持续篡改每 6 小时心跳式重提醒
外部报警转发	同 source + title 5 分钟去重
上报队列	pending/fail 仅保留最新 500 条；失败重试上限 4 次

心跳保活

• 看门狗按心跳间隔（默认 360 秒，可配 60–86400）发送 heartbeat / info，携带 CPU / 内存 / 磁盘 / 进程运行时长快照。
• 心跳不写入上报记录（不刷屏），专供接收端平台判断主机在线 / 离线。
• 心跳失败静默跳过，不影响其他告警。